怎样限制某个端口只允许一个 IP 连接？

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

V2EX 提问指南

这是一个创建于 3611 天前的主题，其中的信息可能已经有所发展或是发生改变。

需要额外说明下，这里只的一个IP可以允许建立多个TCP连接，但是这个IP是不固定的
就好比一个人蹲坑，另外一个想蹲就得等他出来。。
请各位V友指教

端口

TCP

连接

6 条回复 • 2015-01-02 14:08:16 +08:00

typcn

2015-01-02 13:16:27 +08:00

某个人连接之后把IP存成变量，其他人再连拒绝

efi

2015-01-02 13:26:35 +08:00

iptables -t nat -A INPUT -p tcp --dport 某个端口 -j SNAT --to-source 10.0.0.1:6666

把所有到某个端口的连接全部SNAT成10.0.0.1:6666，这样10.0.0.1:6666这个内部源地址同时只能对应一个外部源地址。先到先得，超时180秒后可以重新抢占。

blijf

2015-01-02 13:33:38 +08:00

@efi 你好，就一条的话好像不行吧

efi

2015-01-02 13:37:41 +08:00

@blijf 一条SNAT就把端口映射弄好了，你试试

blijf

2015-01-02 13:50:12 +08:00

@efi 不好意思，麻烦再看下
[root@1 ~]# iptables -t nat -A INPUT -p tcp --dport 443 -j SNAT --to-source 10.0.0.1:6666
iptables: No chain/target/match by that name.

efi

2015-01-02 14:08:16 +08:00

你的nat table没有INPUT chain，因为你的内核小于2.6.36，这个功能用不了了。
换一种方法iptables应该还是可以的，不过会复杂一些。可以用recent实现一个blacklist http://olivier.sessink.nl/publications/blacklisting/index.html